ECS數(shù)據(jù)加密的應用
本文中含有需要您注意的重要提示信息,忽略該信息可能對您的業(yè)務造成影響,請務必仔細閱讀。
數(shù)據(jù)加密適用于數(shù)據(jù)安全或法規(guī)合規(guī)等場景,幫助您加密保護存儲在阿里云ECS上的數(shù)據(jù),您可以選擇對系統(tǒng)盤、數(shù)據(jù)盤或者鏡像進行加密,然后基于加密后的云盤和鏡像去創(chuàng)建ECS實例,以保護數(shù)據(jù)的隱私性和安全性。本文主要為您介紹加密云盤、快照和鏡像的一些限制條件和相關操作。
前提條件
請確保已購買和啟用KMS實例。具體操作,請參見購買和啟用KMS實例。
背景信息
ECS云盤加密功能默認使用服務密鑰(Service Key)為用戶數(shù)據(jù)進行加密,也支持使用用戶主密鑰CMK(Customer Master Key)為用戶的數(shù)據(jù)進行加密。云盤的加密機制中,每一塊云盤會有相對應的用戶主密鑰CMK和數(shù)據(jù)密鑰DK(Data Key),并通過信封加密機制對用戶數(shù)據(jù)進行加密。更多信息,請參見云盤加密概述。
注意事項
使用密鑰加密時,請仔細閱讀以下注意事項:
密鑰類型 | 注意事項 |
服務密鑰 | 每個地域每個用戶的服務密鑰(Service Key)唯一,不支持刪除和禁用操作。 |
自定義密鑰BYOK |
|
加密系統(tǒng)盤
系統(tǒng)盤是裝有操作系統(tǒng)的云盤,只能隨實例創(chuàng)建,生命周期與掛載的ECS實例相同,您可以在創(chuàng)建實例時加密系統(tǒng)盤。
限制條件
限制項 | 說明 |
實例規(guī)格族 | 不包括ecs.ebmg5、ecs.ebmgn5t、ecs.ebmi3、ecs.sccg5、ecs.scch5、ecs.ebmc4和ecs.ebmhfg5。更多信息,請參見實例規(guī)格族。 |
云盤類型 | 僅支持ESSD云盤、ESSD AutoPL云盤和ESSD Entry云盤。 |
操作步驟
加密系統(tǒng)盤的具體操作,請參見加密系統(tǒng)盤。
加密數(shù)據(jù)盤
加密數(shù)據(jù)盤后,數(shù)據(jù)盤上的動態(tài)數(shù)據(jù)傳輸以及靜態(tài)數(shù)據(jù)都會被加密。您可以在創(chuàng)建實例時加密數(shù)據(jù)盤,也可以在創(chuàng)建云盤時加密數(shù)據(jù)盤。
限制條件
加密數(shù)據(jù)盤時,如果選擇用快照創(chuàng)建磁盤,必須滿足以下條件才能選擇加密選項為數(shù)據(jù)盤加密。
限制項 | 說明 |
實例規(guī)格族 | 不包括ecs.ebmg5、ecs.ebmgn5t、ecs.ebmi3、ecs.sccg5、ecs.scch5、ecs.ebmc4和ecs.ebmhfg5。更多信息,請參見實例規(guī)格族。 |
云盤類型 | 僅支持ESSD云盤、ESSD AutoPL云盤和ESSD Entry云盤。 |
操作步驟
加密數(shù)據(jù)盤的具體操作,請參見加密數(shù)據(jù)盤。
加密快照
如果云盤是加密云盤,使用該云盤創(chuàng)建的快照也是加密快照。
操作步驟
創(chuàng)建快照的具體操作,請參見創(chuàng)建一個云盤快照。
復制加密鏡像
復制鏡像可用于跨地域部署ECS實例、同地域或者跨地域變更加密鏡像與非加密鏡像的加密狀態(tài)。同地域或者跨地域加密復制鏡像后,您可以使用復制后的加密鏡像快速創(chuàng)建并運行同一鏡像環(huán)境的ECS實例。
限制條件
限制項 | 說明 |
地域限制 | 如果您是阿里云賬號,可以進行多地域復制,復制地域最多支持選擇5個。 |
鏡像類型 | 加密鏡像或者非加密鏡像。 |
操作步驟
復制加密鏡像的具體操作,請參見復制鏡像。
共享加密鏡像
共享鏡像可用于跨賬號部署ECS實例。如果ECS實例掛載的云盤開啟了加密功能,則通過該ECS實例所創(chuàng)建的自定義鏡像為加密鏡像,此時您可以將加密后的自定義鏡像共享給其他阿里云賬號使用。該賬號可以使用您共享的加密自定義鏡像,快速創(chuàng)建并運行同一鏡像環(huán)境的ECS實例。
共享加密自定義鏡像的功能目前支持華北2(北京)、華東2(上海)、中國(香港)、新加坡地域。
限制條件
限制項 | 說明 |
賬號權限 |
|
密鑰使用建議 | 建議用戶為共享加密鏡像創(chuàng)建獨立的BYOK密鑰,避免KMS密鑰泄露導致安全風險。 |
地域限制 | 僅支持同地域跨賬號共享,不支持跨地域共享鏡像。 |
取消共享加密鏡像 |
|
禁用加密鏡像 |
|
操作步驟
共享加密自定義鏡像的具體操作,請參見共享加密自定義鏡像。